申请/专利权人：华为技术有限公司

申请日：2018-02-06

公开（公告）日：2021-09-21

公开（公告）号：CN110121168B

主分类号：H04W12/041(20210101)

分类号：H04W12/041(20210101);H04W12/10(20210101);H04L29/06(20060101)

优先权：

专利状态码：有效-授权

法律状态：2021.09.21#授权;2019.09.06#实质审查的生效;2019.08.13#公开

摘要：本申请提供一种安全协商方法及装置，该方法包括：终端接收CU‑CPCU‑UP发送的安全协商信息，所述安全协商信息包括：CU‑UP的完整性保护指示标识；终端根据所述CU‑UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。实现了在CU‑CP和CU‑UP分离的场景下，可以完成与终端的用户面安全协商。

主权项：1.一种安全协商方法，其特征在于，包括：终端接收控制面集中式单元CU-CP发送的安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识；所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。

全文数据：安全协商方法及装置技术领域本申请涉及无线通信领域，尤其涉及一种安全协商方法及装置。背景技术未来网络在接入网侧的基础处理单元拆分成集中式单元CentralizedUnit，CU和分布式单元DistributedUnit，DU，其中集中式单元又可以拆分为控制面功能实体和用户面功能实体，相对应的会有控制面功能网元设备和用户面功能网元设备。具体来说，这种功能解耦主要是针对接入网设备的集中式单元进行进一步的功能拆分。为了保证在此种场景下的通信的安全性，需要提供有效的接入安全协商机制。但是，目前的安全协商机制主要还是长期演进LongTermEvolution，LTE技术中的认证服务器AuthenticationServer，ASSMC过程，即终端和基站之间的交互过程。现有技术这种安全协商机制并不适用于控制面功能实体和用户面功能实体分离的场景。发明内容本申请提供一种安全协商方法及装置，用于实现控制面功能实体和用户面功能实体分离场景下的安全协商。第一方面，本申请提供一种安全协商方法，包括：终端接收控制面集中式单元CU-CP发送的安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识；所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。可选地，所述安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述终端接收所述CU-CP发送的空口信息，所述空口信息包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述终端根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。可选地，所述方法还包括：所述终端向会话管理功能实体SMF发送第一会话建立请求，所述第一会话建立请求包括下述参数中的一项或多项：S-NSSAIs、DNN、PDUSessionID、请求类型RequestType、OldPDUSessionID、N1SMcontainerPDUSessionEstablishmentRequest。可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：所述终端向所述SMF发送第一会话建立请求之后，根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护。可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，所述终端确定开启所述终端基于会话的用户面完整性保护。可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，所述终端确定开启所述终端的用户面完整性保护。可选地，所述终端确定开启所述终端的完整性保护之后，所述方法还包括：所述终端向所述CU-CP发送完整性保护参数。可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：当所述CU-UP的完整性保护指示标识指示不开启所述CU-UP的完整性保护时，所述终端确定不开启所述终端的完整性保护。可选地，所述终端确定不开启所述终端的完整性保护之后，所述方法还包括：所述终端向所述CU-CP发送安全协商响应；其中，所述安全协商响应包括：用于指示开启所述终端完整性保护的指示标识和完整性保护参数。可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述方法还包括：所述终端根据所述CU-UP的加密保护指示标识确定是否开启所述终端的加密保护。可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述方法还包括：所述终端向所述SMF发送第一会话建立请求之后，根据所述CU-UP的加密保护指示标识确定是否开启所述终端基于会话的加密保护。可选地，所述方法还包括：所述终端根据所述密钥生成参数生成CU-UP的用户面加密保护密钥。可选地，所述安全协商信息还包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。第二方面，本申请提供一种安全协商方法，包括：终端接收控制面集中式单元CU-CP发送的安全协商信息，所述安全协商信息包括：CU-UP的加密保护指示标识；所述终端根据所述CU-UP的加密保护指示标识确定是否开启终端的用户面加密保护。可选地，所述安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述终端接收所述CU-CP发送的空口信息，所述空口信息包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述终端根据所述密钥生成参数生成CU-UP的加密保护密钥。可选地，所述安全协商信息还包括：CU-UP的完整性保护指示标识；所述方法还包括：所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护，包括：当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，所述终端确定开启所述终端的用户面完整性保护。可选地，所述方法还包括：所述终端向会话管理功能实体SMF发送第一会话建立请求，所述第一会话建立请求包括下述参数中的一项或多项：S-NSSAIs、DNN、PDUSessionID、请求类型RequestType、OldPDUSessionID、N1SMcontainerPDUSessionEstablishmentRequest。可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：所述终端向所述SMF发送第一会话建立请求之后，根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护。可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，所述终端确定开启所述终端基于会话的用户面完整性保护。可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，所述终端确定开启所述终端的用户面完整性保护。可选地，所述终端确定开启所述终端的完整性保护之后，所述方法还包括：所述终端向所述CU-CP发送完整性保护参数。可选地，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：当所述CU-UP的完整性保护指示标识指示不开启所述CU-UP的完整性保护时，所述终端确定不开启所述终端的完整性保护。可选地，所述终端确定不开启所述终端的完整性保护之后，所述方法还包括：所述终端向所述CU-CP发送安全协商响应；其中，所述安全协商响应包括：用于指示开启所述终端完整性保护的指示标识和完整性保护参数。可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述方法还包括：所述终端向所述SMF发送第一会话建立请求之后，根据所述CU-UP的加密保护指示标识确定是否开启所述终端基于会话的加密保护。第三方面，本申请提供一种安全协商方法，包括：终端接收用户面集中式单元CU-UP发送的安全协商信息，所述安全协商信息包括：所述CU-UP的完整性保护指示标识；所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。可选地，所述安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述终端接收所述CU-UP发送的空口信息，所述空口信息包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述终端根据所述密钥生成参数生成CU-UP的完整性保护密钥。可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述方法还包括：所述终端根据所述CU-UP的加密保护指示标识确定是否开启所述终端的加密保护。可选地，所述方法还包括：所述终端根据所述密钥生成参数生成CU-UP的加密保护密钥。第四方面，本申请提供一种安全协商方法，包括：终端接收用户面集中式单元CU-UP发送的安全协商信息，所述安全协商信息包括：所述CU-UP的加密保护指示标识；所述终端根据所述CU-UP的加密保护指示标识确定是否开启终端的用户面加密保护。可选地，所述安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，其特征在于，所述方法还包括：所述终端接收所述CU-UP发送的空口信息，所述空口信息包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述终端根据所述密钥生成参数生成CU-UP的完整性保护密钥。可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述方法还包括：所述终端根据所述CU-UP的加密保护指示标识确定是否开启所述终端的加密保护。可选地，所述方法还包括：所述终端根据所述密钥生成参数生成CU-UP的加密保护密钥。第五方面，本申请提供一种安全协商方法，包括：控制面集中式单元CU-CP确定安全协商信息，所述安全协商信息包括：所述CU-UP的完整性保护指示标识；所述CU-CP向终端发送所述安全协商信息。可选地，所述安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述CU-CP向终端发送空口信息，所述空口信息包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述CU-CP根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。可选地，所述CU-CP根据所述密钥生成参数生成CU-UP的完整性保护密钥之后，还包括：所述CU-CP向所述CU-UP发送所述CU-UP的用户面完整性保护密钥。可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识。可选地，所述方法还包括：所述CU-CP根据所述密钥生成参数生成CU-UP的用户面加密保护密钥。可选地，所述方法还包括：所述CU-CP向所述CU-UP发送所述CU-UP的用户面加密保护密钥。可选地，所述方法还包括：所述CU-CP生成基础密钥；所述CU-CP将所述基础密钥发送给所述CU-UP。可选地，所述方法还包括：所述CU-CP接收会话管理功能实体SMF在收到终端发送的第一会话建立请求后，发送的第二会话建立请求；所述CU-CP向所述SMF发送会话建立响应。可选地，所述安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。第六方面，本申请提供一种安全协商方法，包括：CU-CP确定安全协商信息，所述安全协商信息包括：所述CU-UP的加密保护指示标识；所述CU-CP向终端发送所述安全协商信息。可选地，所述安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述CU-CP向终端发送空口信息，所述空口信息包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述CU-CP根据所述密钥生成参数生成CU-UP的用户面加密保护密钥。可选地，所述方法还包括：所述CU-CP向所述CU-UP发送所述CU-UP的用户面加密保护密钥。可选地，所述安全协商信息还包括：所述CU-UP的完整性保护指示标识。可选地，所述方法还包括：所述CU-CP根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。可选地，所述CU-CP根据所述密钥生成参数生成CU-UP的完整性保护密钥之后，还包括：所述CU-CP向所述CU-UP发送所述CU-UP的用户面完整性保护密钥。可选地，所述方法还包括：所述CU-CP生成基础密钥；所述CU-CP将所述基础密钥发送给所述CU-UP。可选地，所述方法还包括：所述CU-CP接收会话管理功能实体SMF在收到终端发送的第一会话建立请求后，发送的第二会话建立请求；所述CU-CP向所述SMF发送会话建立响应。可选地，所述安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。第七方面，本申请提供一种安全协商方法，包括：用户面集中式单元CU-UP确定安全协商信息，所述安全协商信息包括：所述CU-UP的完整性保护指示标识；所述CU-UP向终端发送所述安全协商信息。可选地，所述安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述CU-UP向终端发送空口信息，所述空口信息包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述CU-UP根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识。可选地，所述方法还包括：所述CU-UP根据所述密钥生成参数生成CU-UP的用户面加密保护密钥。第八方面，本申请提供一种安全协商方法，包括：用户面集中式单元CU-UP确定安全协商信息，所述安全协商信息包括：所述CU-UP的加密保护指示标识；所述CU-UP向终端发送所述安全协商信息。可选地，所述安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述CU-UP向终端发送空口信息，所述空口信息包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。可选地，所述方法还包括：所述CU-UP根据所述密钥生成参数生成CU-UP的用户面加密保护密钥。可选地，所述安全协商信息还包括所述CU-UP的完整性保护指示标识。可选地，所述方法还包括：所述CU-UP根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。第九方面，本申请提供一种安全协商装置，所述装置包括用于执行上述第一至第八方面以及第一至第八方面的各种实现方式所提供的方法的模块或手段means。第十方面，本申请提供一种安全协商装置，所述装置包括处理器和存储器，存储器用于存储程序，处理器调用存储器存储的程序，以执行本申请第一方面～第四方面中任一个提供的方法，所述装置可以为终端，也可以为终端上的芯片。第十一方面，本申请提供一种安全协商装置，所述装置包括处理器和存储器，存储器用于存储程序，处理器调用存储器存储的程序，以执行本申请第五方面或第六方面提供的方法，所述装置可以为CU-CP，也可以为CU-CP上的芯片。第十二方面，本申请提供一种安全协商装置，所述装置包括处理器和存储器，存储器用于存储程序，处理器调用存储器存储的程序，以执行本申请第七方面或第八方面提供的方法，所述装置可以为CU-UP，也可以为CU-UP上的芯片。第十三方面，本申请提供一种计算机存储介质，该计算机存储介质用于存储程序，该程序用于执行以上第一至第八方面所述的任意一种方法。本申请提供的安全协商方法及装置中，CU-CP或CU-UP确定安全协商信息，并向终端发送安全协商信息，终端收到安全协商信息后，根据安全协商信息的指示，可以确定是否开启终端的用户面完整性保护。实现了在CU-CP和CU-UP分离的场景下，可以完成与终端的用户面安全协商。附图说明图1为一种通信系统示意图；图2为另一种通信系统场景示意图；图3为再一种通信系统场景示意图；图4为又一种通信系统场景示意图；图5为本申请一实施例提供的安全协商方法流程示意图；图6为本申请另一实施例提供的安全协商方法流程示意图；图7为本申请中一种密钥生成示意图；图8为本申请中另一种密钥生成示意图；图9为本申请中再一种密钥生成示意图；图10为本申请另一实施例提供的安全协商方法流程示意图；图11为本申请又一实施例提供的安全协商方法流程示意图；图12为本申请一实施例提供的安全协商装置结构示意图；图13为本申请另一实施例提供的安全协商装置结构示意图；图14为本申请另一实施例提供的安全协商装置结构示意图；图15为本申请另一实施例提供的安全协商装置结构示意图；图16为本申请再一实施例提供的安全协商装置结构示意图；图17为本申请又一实施例提供的安全协商装置结构示意图；图18为本申请另一实施例提供的安全协商装置结构示意图；图19为本申请另一实施例提供的安全协商装置结构示意图；图20为本申请一实施例提供的终端结构示意图；图21为本申请一实施例提供的CU-CP结构示意图；图22为本申请一实施例提供的CU-UP结构示意图。具体实施方式图1为一种通信系统示意图。如图1所示，该系统包括：DU、集中单元的控制面CU-ControlPlane，CU-CP、集中单元的用户面CU-UserPlane，CU-UP。如图1所示，该系统可以是网络设备系统，由一个CU-CP，多个DU，多个CU-UP组成。其中，CU-CP和DU可以通过F1-C接口连接，CU-UP和DU之间可以通过F1-U接口连接，CU-UP和CU-CP之间可以通过E1接口相连。其中，DU涵盖了基带处理的物理层以及介质访问控制MediaAccessControl，MAC层无线链路控制RadioLinkControl，RLC层部分功能。考虑到射频拉远单元RadioRemoteUnit，RRU与DU的传输资源，部分DU的物理层功能可以上移到RRU。伴随RRU的小型化，甚至更激进的DU可以与RRU进行合并。DU布放取决实际网络环境，例如：核心城区、话务密度较高、站间距较小、机房资源受限的区域，像高校、大型演出场馆等，DU可以集中式布放；而话务较稀疏、站间距较大等区域，像郊县、山区等区域，DU可以采取分布式的布放方式。CU涵盖了无线接入网高层协议栈以及核心网的一部分功能，例如无线资源控制RadioResourceControl，RRC层，分组数据汇聚协议PacketDataConvergenceProtocol，PDCP层等部分功能，甚至也能够支持部分核心网功能下沉至接入网，可以称作边缘计算网络，能够满足未来通信网络对于新兴业务例如视频，网购，虚拟增强现实对于网络时延的更高要求。进一步拆分后，CU-CP涵盖了RRC和PDCP协议层部分功能，主要对DU和CU-UP进行资源的管理和调度，以及控制信令的管理和中转。CU-UP主要涵盖PDCP协议层部分功能，主要对用户数据UPTraffic进行传输，在会话到来的时候进行数据传输。未来第五代5G网络中，尤其是在云化技术支持下，用户面和控制面解耦可以实现不同制式网络的同时连接，与业务会话相关的控制面的信令承载在传统已经实现连续覆盖的网络上，数据面调度则在有5G网络覆盖区域调度高速数据承载在5G网络上，没有5G覆盖区域承载在传统网络上。这样5G网络完全可以按需部署，而不需要考虑连续覆盖问题。具体布放时，一个DU可以连到一个CU-UP，一个CU-UP连到一个CU-CP。特殊情况下，一个CU-UP可能可以连到多个CU-CP；多个CU-UP可以连接到一个DU；多个DU可以连接到一个CU-UP。本申请不作限制。下面介绍几种比较典型的场景，适用于本申请提供的方法：图2为另一种通信系统场景示意图。如图2所示，CU-CP和CU-UP处于集中式部署的位置，如部署在机房。这样更好的利用云技术，CU-CP和CU-UP都可以通过虚拟化实现。CU-CP位于中心更好的为DU提供负载均衡和资源协调。图3为再一种通信系统场景示意图。如图3所示，CU-CP和DU一样，部署在室外，同时一个CU-CP管理一个DU，应用于信令操作多的场景。CU-CP管理单个DU，如关键critical通信，需要定期更换密钥的场景。但CU-UP可以通过云实现，即通过云服务器cloud实现。增大了CU-CP和CU-UP之间的时延。适用于链接重建、切换和状态转换较多的场景。特别的，如移动性场景：车联网等。图4为又一种通信系统场景示意图。如图4所示，该场景可以如高可靠通信UltraReliable&LowLatencyCommunication，URLLC场景URLLC场景，一次中心交互之后的UP传输traffic；也可以进行在UP侧的云实现，实现数据传输的低时延，如关键critical任务关键通信MissionCriticalCommunication，MTC。本申请提供一种安全协商方法，应用于CU-CP和CU-UP分离的场景，例如上述场景，但不以上述场景为限。在本申请实施例中，终端terminaldevice包括但不限于移动台MS，MobileStation、移动终端MobileTerminal、移动电话MobileTelephone、手机handset及便携设备portableequipment等，该终端可以经无线接入网RAN，RadioAccessNetwork与一个或多个核心网进行通信，例如，终端可以是移动电话或称为“蜂窝”电话、具有无线通信功能的计算机等，终端还可以是便携式、袖珍式、手持式、计算机内置的或者车载的移动装置或设备。网络设备可以是用于与终端进行通信的设备。例如，可以是GSM系统或CDMA系统中的基站BaseTransceiverStation，BTS，也可以是WCDMA系统中的基站NodeB，NB，还可以是LTE系统中的演进型基站EvolvedNodeB，eNB或eNodeB或未来5G网络中的gNB等。图5为本申请一实施例提供的安全协商方法流程示意图，如图5所示，该方法包括：S501、CU-CP确定安全协商信息。S502、CU-CP向终端发送该安全协商信息。该安全协商信息包括：CU-UP的完整性保护指示标识UPintegrityindication。该CU-UP的完整性保护指示标识用于指示CU-UP的完整性保护是否开启。该安全协商信息可以通过AS安全模式命令ASSecurityModeCommand携带，或者，通过CP安全模式命令SecurityModeCommand携带，或者通过空口重配消息RRCReconfigurationRequest等命令携带，本申请不作限制。可选地一种实施方式中，S501之前，CU-CP获取所有CU-UP的密钥，可以是CU-CP自己生成所有CU-UP的密钥，也可以是CU-UP把自己的密钥发送给CU-CP，在此不作限定。CU-UP的完整性保护指示标识可以是1bit或者1字节的数值或文本符，例如“0”标识未开启，“1”标识开启，也可以是文本符，如“TRUE”代表开启，“FALSE”代表不开启。可选地，可以预先规定CU-UP的加密保护默认为开启，例如在标准中规定，或者预先配置好。S503、终端根据上述安全协商信息确定是否开启终端的用户面完整性保护。终端收到安全协商信息后，根据安全协商信息的指示，可以确定是否开启终端的用户面完整性保护。具体地，可以根据预设规则来确定。本实施例中，CU-CP确定安全协商信息，并向终端发送安全协商信息，终端收到安全协商信息后，根据安全协商信息的指示，可以确定是否开启终端的用户面完整性保护。实现了在CU-CP和CU-UP分离的场景下，可以完成与终端的用户面安全协商。可选地，上述安全协商信息还可以包括：CU-UP的加密保护标识UPConfidentialityindication。CU-UP的加密保护标识用于指示CU-UP的加密保护是否开启。类似地，CU-UP的加密保护标识也可以是1bit或者1字节的数值或文本符，例如“0”标识未开启，“1”标识开启，也可以是文本符，如“TRUE”代表开启，“FALSE”代表不开启。CU-UP的加密保护标识指示CU-UP的加密保护开启时，终端确定开启终端的用户面加密保护。否则终端不开启终端的用户名加密保护。图6为本申请另一实施例提供的安全协商方法流程示意图，如图6所示，该方法包括：S601、CU-CP确定安全协商信息。S602、CU-CP向终端发送该安全协商信息，该安全协商信息包括：CU-UP的加密保护标识。CU-UP的加密保护标识用于指示CU-UP的加密保护是否开启。S603、终端根据安全协商信息确定是否开启终端的用户面加密保护。可选地，安全协商信息包括“CU-UP的加密保护指示标识”时，可以预先规定CU-UP的完整性保护默认为开启，例如在标准中规定，或者预先配置好。可选地，安全协商信息还包括：CU-UP的完整性保护指示标识。一种实施方式中，上述安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。具体地，CU-CP的完整性保护算法标识可以是CU-CP的控制面完整性保护算法标识，CU-CP的加密保护算法标识可以是CU-CP的控制面加密保护算法标识。CU-UP的完整性保护算法标识可以是CU-UP的用户面完整性保护算法标识，CU-UP的加密保护算法标识可以是CU-UP的用户面加密保护算法标识。可选地，一种场景下，CU-CP和CU-UP的完整性保护算法相同，那么安全协商信息可以就指示一个完整性保护算法标识。和或，CU-CP和CU-UP的加密保护算法相同，那么安全协商信息可以就指示一个加密保护算法标识。需要说明的是，CU-CP和CU-UP可以预先协商好完整性保护算法和或加密保护算法。例如，CU-CP向CU-UP发送算法协商信息，CU-UP确定CU-UP的完整性保护算法和或CU-UP加密保护算法，并向CU-CP发送算法协商响应，该算法协商响应指示CU-UP的完整性保护算法和或CU-UP加密保护算法。进而CU-CP根据算法协商响应，确定CU-CP和CU-UP的完整性保护算法，和或，CU-CP和CU-UP的加密保护算法。需要说明的是完整性保护算法有控制面完整性保护算法和用户面完整性保护算法，加密算法有控制面的加密算法和用户面的加密算法。控制面的完整性保护算法是对信令进行完整性保护时用到的算法，控制面的加密保护算法是对信令进行加密保护的时候用到的算法。用户面完整性保护算法是在对用户数据进行完整性保护时用到的算法，用户面加密保护算法是在对数据进行加密保护的时候用到的算法。其中CU-CP处理的算法主要为控制面完整性保护算法和加密算法，也包括用户面完整性保护算法和加密算法。CU-UP主要处理用户面完整性保护算法和加密算法。不排除后续DU也需要处理控制面和或控制面和用户面的完整性保护算法和加密算法。终端收到上述安全协商信息后，可以先验证安全协商信息的完整性后，先开启控制面无线资源控制RadioResourceControl，RRC消息的下行解密和RRC消息的完整性保护，然后确定CU-UP的完整性保护、CU-UP的加密保护是否开启。可选地，终端根据上述安全协商信息确定是否开启终端的加密保护和或终端的完整性保护可以包括下述至少一种情况：1安全协商信息包括：CU-UP的完整性保护指示标识，且CU-UP的完整性保护指示标识指示CU-UP的完整性保护开启，那么终端确定开启终端的用户面完整性保护。如果CU-UP的完整性保护指示标识指示CU-UP的完整性保护未开启，则终端不开启终端的用户面完整性保护。2安全协商信息包括：CU-UP的加密保护指示标识，且CU-UP的加密保护指示标识指示所述CU-UP的加密保护开启，那么终端确定开启终端的用户面加密保护。如果CU-UP的加密保护指示标识指示所述CU-UP的加密保护未开启，则终端不开启终端的用户面加密保护。进一步地，终端向CU-CP发送安全协商响应。若终端确定开启终端的完整性保护，该安全协商响应包括：完整性保护参数。若终端确定不开启完整性保护，该安全协商响应包括：终端的完整性保护指示标识和完整性保护参数等。其中，终端的完整性保护指示标识用于指示终端是否开启完整性保护。完整性保护参数可以是消息完整性保护码MessageAuthenticationCodeforIntegrity，MAC-I。需要说明的是，如果终端确定开启终端的用户面加密保护，那么上述终端可以在收到安全协商信息后，开启终端的用户面加密保护。和或，如果终端确定开启终端的用户面完整性保护，那么上述终端可以在收到安全协商信息后，开启终端的用户面完整性保护。另一种方式中，如果终端确定开启加密保护，那么上述终端可以在发送安全协商响应时，开启终端的加密保护。和或，如果终端确定开启终端的完整性保护，那么上述终端可以在发送安全协商响应时，开启终端的完整性保护。可选地，CU-CP确定安全协商信息之前，还可以包括：CU-CP判断CU-UP的完整性保护指示标识是否激活。若CU-UP的完整性保护指示标识激活，则确定开启CU-UP的下行解密保护。另外，CU-CP和或CU-UP还记录该CU-UP的完整性保护指示标识当前的值。进一步地，CU-CP自己设置CU-CP的标识值，记为“CU-CP标识CPindication”。CU-CP确定终端和CU-UP都开启加密保护后，设置该CU-CP标识的值为激活，例如CU-CP标识为“1”标识激活，为“0”标识未激活，也可以是文本符，如“TRUE”代表开启，“FALSE”代表不开启。或者，CU-CP标识可以包括CU-CP的加密保护标识和CU-CP的完整性保护标识。可以是CU-CP一开始激活就通知终端，也可以是CU-CP将一些相关信息例如配置的CP-UP实例信息，CU-UP的隧道ID及相关的保护信息告诉终端，终端自己判断CU-CP是不是激活，本申请不做限制。可选地另一种方式中，CU-CP将CU-CP标识发送给终端，终端根据CU-CP标识确定是否开启终端的控制面加密保护。例如，CU-CP标识指示激活时，终端开启终端的控制面加密保护；若CU-CP标识指示未激活时，终端不开启终端的控制面加密保护。在上述实施例的基础上，CU-CP和终端都需要生成密钥，具体地，生成CU-UP的用户面完整性保护密钥、CU-UP的用户面加密保护密钥等。CU-CP及终端可以基于接入网AccessNetwork，AN的安全密钥记为K-AN生成完整性保护密钥、加密密钥等。接入网可以是上述网络设备中的一种，在此不再赘述。该安全密钥可以是网络设备、终端等共享的安全密钥。需要说明的是，生成密钥的算法可以选择密钥导出函数KeyDerivationFunction，KDF或者HMAC-SHA256算法，但不以此为限。将需要用到的参数带入生成密钥的算法即可生成密钥。图7为本申请中一种密钥生成示意图。一种实施方式中，如图1所示，CU-CP根据CU-UP的用户面完整性保护算法类型标识、CU-UP的用户面完整性保护算法标识、K-AN生成CU-UP的用户面完整性保护密钥。和或，CU-CP根据CU-UP的加密保护算法类型标识、CU-UP的用户面加密保护算法标识、K-AN生成CU-UP的用户面加密保护密钥。类似地，CU-CP根据CU-CP的控制面完整性保护算法类型标识、CU-CP的控制面完整性保护算法标识、K-AN生成CU-CP的完整性保护密钥。CU-CP根据CU-CP的控制面加密保护算法类型标识、CU-CP的控制面加密保护算法标识、K-AN生成CU-CP的加密保护密钥。算法类型标识指示算法所属的类型，比如：用户面加密保护算法为“UP-enc-alg”，其类型值为0x05。其标识输入可以为文本标识符“UP-enc-alg”，也可能为对应数值0x05，或者数值的文本符。终端根据CU-UP的用户面完整性保护算法类型标识、CU-UP的用户面完整性保护算法标识、K-AN生成CU-UP的完整性保护密钥。和或，终端根据CU-UP的用户面加密保护算法类型标识、CU-UP的用户面加密保护算法标识、K-AN生成用户面的加密密钥。可选地，终端根据CU-CP的控制面完整性保护算法类型标识、CU-CP的控制面完整性保护算法标识、K-AN生成CU-CP的控制面完整性保护密钥，根据CU-CP的控制面加密保护算法类型标识、CU-CP的控制面加密保护算法标识、K-AN生成CU-CP的控制面加密保护密钥。进一步地，终端和CU-CP之间还可以协商生成密钥的相关信息：一种实施方式中，通过上述安全协商信息携带密钥生成参数。另一种实施方式中，CU-CP向终端发送密钥生成参数。密钥生成参数可以为实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度等。CU-UP标识可以为隧道标识，如TEID。实例标识可以为CU-CP实例标识、CU-UP实例标识、DU实例标识上述新鲜参数可以为随机数Nonce，randomnumber等。承载标识可以为：DRBID或BEARERID。例如完整性保护算法可以为空算法“NIA0”，对应值为2进制的“0000”；完整性保护算法可以为基于128-bitSNOW3G的算法“128-NIA1”，对应值为2进制的“0001”；完整性保护算法可以为基于128-bitAES的算法“128-NIA2”，对应值为2进制的“0010”。其标识输入可以为算法名字文本标识符，也可能为对应数值或者数值的文本符。或者，加密保护算法可以为空加密算法“NEA0”，对应值为2进制的“0000”；加密保护算法可以为基于128-bitSNOW3G的算法“128-NEA1”，对应值为2进制的“0001”；加密保护算法可以为基于128-bitAES的算法“128-NEA2”，对应值为2进制的“0010”；加密保护算法可以为基于128-bitZUC的算法“128-NEA3”，对应值为2进制的“0011”。其标识输入可以为算法名字文本标识符，也可能为对应数值或者数值的文本符。图8为本申请中另一种密钥生成示意图。终端在确定CU-UP的完整性保护算法和或CU-UP的加密保护算法后，还可以结合上述密钥生成参数生成密钥。具体地，终端根据上述密钥生成参数、CU-UP的用户面完整性保护算法类型标识、CU-UP的用户面完整性保护算法标识、K-AN生成CU-UP的完整性保护密钥。和或，终端根据上述密钥生成参数、CU-UP的用户面加密保护算法类型标识、CU-UP的用户面加密保护算法标识、K-AN生成CU-UP的加密保护密钥。类似地，CU-CP也可以根据上述密钥生成参数、CU-UP的用户面完整性保护算法类型标识、CU-UP的用户面完整性保护算法标识、K-AN生成CU-UP的完整性保护密钥。和或，CU-CP根据上述密钥生成参数、CU-UP的用户面加密保护算法类型标识、CU-UP的用户面加密保护算法标识、K-AN生成CU-UP的加密保护密钥。图9为本申请中再一种密钥生成示意图。生成密钥的过程中还可以考虑不同CU-UP的标识，这样每个CU-UP对应的密钥不同。对应的可以理解为，CU-UP对应的用户面的密钥不同。比如，若CU-UP对应的是会话建立流程，则可能用户面加密保护密钥和用户面完整性保护密钥是基于会话粒度的，两条会话的用户面保护密钥不同，即一个会话与另一个会话的加密密钥不同，同时完整性保护密钥也不同。若CU-UP对应的是承载建立流程，如bear或者DRB，则可能用户面加密保护密钥和用户面完整性保护密钥是承载粒度的，两条承载的用户面保护密钥不同，即一条承载与另一个承载的加密密钥不同，同时完整性保护密钥也不同。如图9所示，终端根据上述密钥生成参数、CU-UP的用户面完整性保护算法类型标识、CU-UP的用户面完整性保护算法标识、CU-UP的标识、K-AN生成CU-UP的用户面完整性保护密钥。和或，终端根据上述密钥生成参数、CU-UP的用户面加密保护算法类型标识、CU-UP的用户面加密保护算法标识、CU-UP的标识、K-AN生成CU-UP的用户面加密保护密钥。参见图9，终端可以先根据密钥生成参数、K-AN生成初始密钥，再代入CU-UP的标识、完整性保护算法类型标识、完整性保护算法标识、可选地还包括密钥生成参数等，生成完整性保护密钥。类似的，终端可以先根据密钥生成参数、K-AN生成初始密钥，再代入CU-UP的标识、加密保护算法类型标识、加密保护算法标识、可选地还包括密钥生成参数等，生成加密保护密钥。本实施例中，CU-CP获取CU-UP的标识后，还会将CU-UP的标识发送给终端。CU-UP标识可以是隧道TunnelID等与CU-UP的实体区分相关的标识可选地，密钥可以由CU-UP自己生成。具体地，CU-CP生成基础密钥发送给CU-UP，CU-UP根据自己的CU-UP的标识、基础密钥、密钥生成完整性保护密钥。或者，CU-UP根据自己的CU-UP的标识、基础密钥、密钥生成参数生成CU-UP的完整性保护密钥。可选地，CU-CP发送基础密钥时，也将CU-UP的完整性保护算法、密钥生成参数发送给CU-UP。基础密钥可以为就是K-AN，或者与终端共享的一个安全密钥，或者为CU-CP基于K-AN生成的安全密钥等。类似地，CU-UP根据自己的CU-UP的标识、基础密钥、CU-UP的加密保护算法类型标识、加密算法标识、生成CU-UP的加密保护密钥。或者，CU-UP根据自己的CU-UP的标识、基础密钥、CU-UP的加密保护算法类型标识、密钥生成参数生成CU-UP的加密保护密钥。需要补充的是，还可能CU-UP和DU分布式部署在一起，则DU也可能具有生成密钥的能力，此时需要考虑加上DU的标识。在上述实施例的基础上，还包括会话建立流程或者承载建立过程。图10为本申请另一实施例提供的安全协商方法流程示意图，如图10所示，该方法包括：S111、终端向会话管理功能实体SessionManagementFunction，SMF发送第一会话建立请求。即由终端发起会话建立，当然，本申请不以此为限，也可以由网络侧设备，例如SMF发起会话建立请求，即SMF向终端发送第一会话建立请求，在此不作限制。该第一会话建立请求包括下述参数中的一项或多项：服务网络切片选择辅助信息Serving-NetworkSliceSelectionAssistanceInformation，S-NSSAIs、数据网络名字DataNetworkName，DNN、协议数据单元ProtocolDataUnit，PDU会话SessionID、请求类型RequestType、OldPDUSessionID、N1会话管理SessionManagement，SMcontainerPDU会话建立请求PDUSessionEstablishmentRequest。其中，N1:为终端和AMF之间的接口名字。N1SMContainer指终端和AMF之间会话相关的容器。S112、SMF向CU-CP发送第二会话建立请求。该第二会话建立请求包括下述参数中的一项或多项：AMF和RAN之间的会话管理信息N2SMinformation，非接入层Non-AccessStratum，NASmessagePDUSessionID，N1SMcontainerPDUSessionEstablishmentAccept。N2为AMF和无线接入网RAN之间的接口名字。可选地，SMF通过移动性控制功能AccessandMobilityFunction，AMF实体将第二会话建立请求透传给CU-CP。S113、CU-CP选择目标CU-UP。目标CU-UP可以有一个或多个。可选地，CU-CP在收到第二会话建立请求后，先选择目标CU-UP，即要建立会话连接的目标CU-UP。对于承载建立过程，CU-CP选择并向目标CU-UP发送承载建立请求，在承载建立请求中完成下述用户面安全的激活和协商。一种实施例中，S113在CU-CP确定安全协商信息之前执行。CU-CP选择目标CU-UP后，根据目标CU-UP的标识，获取所述目标CU-UP基于该会话的用户面完整性保护指示标识、和或所述CU-UP的加密保护指示标识。前提是CU-CP先获取所有CU-UP的完整性保护指示标识、和或所述CU-UP的加密保护指示标识，根据目标CU-UP的标识从中选择目标CU-UP的CU-UP的完整性保护指示标识、和或所述目标CU-UP的加密保护指示标识。可选地，也可以不查找目标CU-UP的CU-UP的完整性保护指示标识、CU-UP的加密保护指示标识。可以在会话建立过程中默认CU-UP的完整性保护未开启、CU-UP的加密保护未开启，具体地可以预先配置或者在标准或协议中规定，本申请不作限制。S114、CU-CP根据该目标CU-UP的标识生成CU-UP的加密保护密钥、CU-UP的完整性保护密钥。即可以在会话建立过程中采用如图9所示的方法生成CU-UP的加密保护密钥、CU-UP的完整性保护密钥。但不以此为限，如果采用图7、图8不引入CU-UP标识的方式生成密钥，也可以在安全协商之前就生成密钥，具体生成密钥的时机本申请不作限制。如果CU-CP在会话建立发起之前就生成了CU-UP的加密保护密钥、CU-UP的完整性保护密钥，后续过程中确定CU-UP的完整性保护是否开始标识激活即可。上述目标CU-UP标识可以是TunnelID等与CU-UP的实体区分相关的标识。或者，CU-CP在生成CU-CP的加密保护密钥、CU-CP的完整性保护密钥时，也生成CU-UP的加密保护密钥、CU-UP的完整性保护密钥。在有多个目标CU-UP时，CU-CP分别生成各CU-UP的加密保护密钥、完整性保护密钥。S115、CU-CP向该目标CU-UP发送安全指令，该安全指令包括：CU-UP的加密保护密钥、CU-UP的完整性保护密钥以及CU-UP的完整性保护指示标识。可选地，安全指令还可以包括：会话标识ID和或CU-UP的加密保护指示标识，CU-UP的用户面加密和完整性保护算法。需要说明的是，如果会话建立过程之前CU-CP已经有了CU-UP的加密保护密钥、CU-UP的完整性保护密钥，那么可以不执行S114，且安全指令中不包含CU-UP的加密保护密钥、CU-UP的完整性保护密钥。S116、目标CU-UP向CU-CP发送安全响应，该安全响应携带CU-UP的完整性保护指示标识，指示CU-UP当前是否开启完整性保护。CU-CP收到安全响应后，记录当前的CU-UP的完整性保护指示标识。安全响应中也可以不携带完整性保护指示标识，CU-CP默认CU-UP的完整性保护已开启。S116之后，CU-CP可以向终端发送上述安全协商信息。前述实施例中的CU-UP即为CU-CP选中的目标CU-UP。终端收到上述安全协商信息后，可以根据CU-UP的完整性保护算法和加密保护算法，生成相应的CU-UP的加密保护密钥和CU-UP的完整性保护密钥。进而，上述实施例中，终端和CU-UP都开启了上下行加密、解密或者开启了完整性保护，其中，这些保护是基于会话还是基于承载，取决于终端和SMF和或CU-UP之间进行交互的流程是会话建立流程还是承载建立流程与空口无线承载DataRadioBear，DRB有关，两种情况下都适用。需要说明的是，如果在会话建立之前，终端根据CU-UP的完整性保护指示标识确定开启终端的用户面完整性保护，终端开启的是基于终端的用户面完整性保护和密钥生成与协商。生成的密钥也是基于终端粒度的。如果在会话建立过程中，例如终端先发起会话建立，即终端在发送第一会话建立请求或者收到第一会话建立请求之后，根据CU-UP的完整性保护指示标识确定开启终端的用户面完整性保护，那么终端开启的是基于会话的用户面完整性保护和密钥生成与协商。生成的密钥是基于会话粒度的。如果在终端在发送第一会话建立请求或者收到第一会话建立请求之后，且第一会话建立请求中包含了DRB标识，那么终端开启的是基于DRB的用户面完整性保护和密钥生成与协商。生成的密钥是基于DRB粒度的。如果终端和CU-UP执行的是承载Bearer建立过程，那么终端开启和协商的是基于DRB的用户面完整性保护以及密钥协商。生成的密钥是基于Bearer粒度的。可选地，在上述实施例的基础上，CU-CP还可以向接入和移动性控制功能AccessandMobilityFunction，AMF实体发送第二会话建立响应。图11为本申请又一实施例提供的安全协商方法流程示意图，与前述实施例不同是，可以由CU-UP和终端进行安全协商。本实施例中，CU-UP具有一定的消息处理能力，可以自行配置CU-UP安全算法列表，或者收到由CU-CP发送过来的安全算法列表，或者自行生成保护密钥，包括完整性保护密钥和加密密钥，并具有和终端协商的能力，从而做到控制面和用户面的安全解耦。如图11所示，该方法包括：S1101、CU-UP确定安全协商信息。S1102、CU-UP向终端发送该安全协商信息。该安全协商信息包括：CU-UP的完整性保护指示标识UPconfidentialityindication。CU-UP的完整性保护标识指示CU-UP的完整性保护是否开启。S1103、终端根据上述安全协商信息确定是否开启终端的用户面完整性保护。本实施例中，CU-UP确定安全协商信息，并向终端发送该安全协商信息，终端收到安全协商信息后，根据安全协商信息的指示，可以确定是否开启终端的完整性保护。实现了在CU-CP和CU-UP分离的场景下，可以完成与终端的安全协商。一种可选地实施方式中，如果CU-UP的完整性保护标识指示CU-UP的完整性保护开启，那么终端确定开启终端的用户面完整性保护。否则，终端不开启终端的用户面完整性保护。可选地，安全协商信息中还可以包括：CU-UP的加密保护标识。CU-UP的加密保护标识用于指示CU-UP的加密保护是否开启。CU-UP的加密保护标识指示CU-UP的加密保护开启时，终端确定开启终端的用户面加密保护。否则终端不开启终端的用户名加密保护。可替换地，图11所示实施例中，上述安全协商信息包括：CU-UP的加密保护标识。S1103可以为终端根据上述安全协商信息确定是否开启终端的用户面加密保护。相应地，上述安全协商信息也可以包括：CU-UP的完整性保护指示标识。一种实施方式中，上述安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。可选地，一种场景下，CU-CP和CU-UP的完整性保护算法相同，那么安全协商信息可以就指示一个完整性保护算法标识。和或，CU-CP和CU-UP的加密保护算法相同，那么安全协商信息可以就指示一个加密保护算法标识。另一种场景下，CU-UP和CU-CP可以分别向终端发送自己的算法，例如CU-UP向终端发送CU-UP的加密保护算法，CU-UP向终端发送CU-UP的完整性保护算法；CU-CP向终端发送CU-CP的加密保护算法，CU-CP向终端发送CU-CP的完整性保护算法。本申请不具体限制。在上述实施例的基础上，CU-UP生成完整性保护密钥、CU-UP的加密保护密钥等。具体地，CU-CP生成基础密钥发送给CU-UP，CU-UP根据自己的CU-UP的标识、基础密钥、完整性算法类型标识、完整性算法标识生成完整性保护密钥。或者，CU-UP根据自己的CU-UP的标识、基础密钥、密钥生成参数生成CU-UP的完整性保护密钥。或者，CU-UP根据自己的CU-UP的标识、基础密钥、密钥生成参数、完整性算法类型标识、完整性算法标识生成CU-UP的完整性保护密钥。可选地，CU-CP发送基础密钥时，也将CU-UP的完整性保护算法、密钥生成参数发送给CU-UP。基础密钥可以为就是K-AN，或者与终端共享的一个安全密钥，或者为CU-CP基于K-AN生成的安全密钥等。类似地，CU-UP根据自己的CU-UP的标识、基础密钥、CU-UP的加密保护算法类型标识、加密算法标识、生成CU-UP的加密保护密钥。或者，CU-UP根据自己的CU-UP的标识、基础密钥、CU-UP的加密保护算法类型标识、密钥生成参数生成CU-UP的加密保护密钥。需要补充的是，还可能CU-UP和DU分布式部署在一起，则DU也可能具有生成密钥的能力，此时需要考虑加上DU的标识。具体地密钥生成过程也可以参照前述图7-图9实施例，在此不再赘述。另一种实施方式中，CU-UP接收CU-CP发送的CU-UP的加密保护密钥、CU-UP的完整性保护密钥。具体地，CU-CP生成CU-UP的加密保护密钥、CU-UP的完整性保护密钥的方法参照前述实施例，在此不再赘述。具体地，会话建立过程可以参见前述方法实施例，可以参照图10所示的实施例，在此不再赘述。即可以由终端发起会话建立，也可以由网络侧例如SMF发起会话建立。图12为本申请一实施例提供的安全协商装置结构示意图，如图12所示，该装置包括：接收模块121、确定模块122，其中：接收模块121，用于接收CU-CP发送的安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识。确定模块122，用于根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。可选地，安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、数据承载标识、承载标识、流标识、会话标识、切片标识、MAC层标识、无线资源控制RRC信令计数器、新鲜参数。可选地，接收模块121，还用于接收所述CU-CP发送的空口信息，所述空口信息包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、新鲜参数。图13为本申请另一实施例提供的安全协商装置结构示意图，如图13所示，在图12的基础上，该装置还包括：生成模块131，用于根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。图14为本申请另一实施例提供的安全协商装置结构示意图，如图14所示，该装置还可以包括：发送模块141，用于向会话管理功能实体SMF发送第一会话建立请求，所述第一会话建立请求包括下述参数中的一项或多项：S-NSSAIs、DNN、PDUSessionID、请求类型、OldPDUSessionID、N1SMcontainer。可选地，确定模块122，具体用于向所述SMF发送第一会话建立请求之后，根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护。进一步地，确定模块122，具体用于当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，确定开启所述终端基于会话的用户面完整性保护。进一步地，确定模块122，具体用于当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，确定开启所述终端的用户面完整性保护。一种实施方式中，发送模块141，用于向所述CU-CP发送完整性保护参数。确定模块122，具体用于当所述CU-UP的完整性保护指示标识指示不开启所述CU-UP的完整性保护时，确定不开启所述终端的完整性保护。相应地，发送模块141，用于向所述CU-CP发送安全协商响应；其中，所述安全协商响应包括：用于指示开启所述终端完整性保护的指示标识和完整性保护参数。可选地，所述安全协商信息还包括所述CU-UP的加密保护指示标识；确定模块122，还用于根据所述CU-UP的加密保护指示标识确定是否开启所述终端的加密保护。另一实施方式中，安全协商信息还包括所述CU-UP的加密保护指示标识。相应地，确定模块122，具体用于向所述SMF发送第一会话建立请求之后，根据所述CU-UP的加密保护指示标识确定是否开启所述终端基于会话的加密保护。可选地，生成模块131，用于根据所述密钥生成参数生成CU-UP的用户面加密保护密钥。可选地，安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。上述装置可以集成于上述终端，或者终端的芯片，上述实施例中终端执行的方法由该装置实现，实现原理和技术效果类似，在此不再赘述。图15为本申请另一实施例提供的安全协商装置结构示意图，如图15，该装置包括：确定模块151、发送模块152，其中：确定模块151，用于确定安全协商信息，所述安全协商信息包括：所述CU-UP的完整性保护指示标识。发送模块152，用于向终端发送所述安全协商信息。可选地，所述安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、新鲜参数。可选地，发送模块152，还用于向终端发送空口信息，所述空口信息包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、数据承载标识、承载标识、流标识、会话标识、切片标识、MAC层标识、无线资源控制RRC信令计数器、新鲜参数。图16为本申请再一实施例提供的安全协商装置结构示意图，如图16所示，该装置还包括：生成模块161，用于根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。发送模块152，还用于向所述CU-UP发送所述CU-UP的完整性保护密钥。一种实施方式中，安全协商信息还包括所述CU-UP的加密保护指示标识。相应地，生成模块161，用于根据所述密钥生成参数生成CU-UP的加密保护密钥。可选地，发送模块152，还用于向所述CU-UP发送所述CU-UP的用户面加密保护密钥。进一步地，一种实施方式中，生成模块161，用于生成基础密钥。发送模块152，还用于将所述基础密钥发送给所述CU-UP。图17为本申请又一实施例提供的安全协商装置结构示意图，如图17所示，该装置还包括：接收模块171，用于接收会话管理功能实体SMF在收到终端发送的第一会话建立请求后，发送的第二会话建立请求。发送模块152，还用于向所述SMF发送会话建立响应。可选地，所述安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。上述装置可以集成于上述CU-CP，或者CU-CP的芯片，上述实施例中CU-CP执行的方法由该装置实现，实现原理和技术效果类似，在此不再赘述。图18为本申请另一实施例提供的安全协商装置结构示意图，如图18所示，该装置包括：确定模块181、发送模块182，其中：确定模块181，用于确定安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识。发送模块182，用于向终端发送所述安全协商信息。可选地，安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、数据承载标识、承载标识、流标识、会话标识、切片标识、MAC层标识、无线资源控制RRC信令计数器、新鲜参数。发送模块182，还用于向终端发送空口信息，所述空口信息包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、数据承载标识、承载标识、流标识、会话标识、切片标识、MAC层标识、无线资源控制RRC信令计数器、新鲜参数。图19为本申请另一实施例提供的安全协商装置结构示意图，如图19所示，该装置可以包括：生成模块191，用于根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。可选地，安全协商信息还包括所述CU-UP的加密保护指示标识。相应地，生成模块191，用于根据所述密钥生成参数生成CU-UP的用户面加密保护密钥。上述装置可以集成于上述CU-UP，或者CU-UP的芯片，上述实施例中CU-CP执行的方法由该装置实现，实现原理和技术效果类似，在此不再赘述。需要说明的是，应理解以上装置的各个模块的划分仅仅是一种逻辑功能的划分，实际实现时可以全部或部分集成到一个物理实体上，也可以物理上分开。且这些模块可以全部以软件通过处理元件调用的形式实现；也可以全部以硬件的形式实现；还可以部分模块通过处理元件调用软件的形式实现，部分模块通过硬件的形式实现。例如，确定模块可以为单独设立的处理元件，也可以集成在上述装置的某一个芯片中实现，此外，也可以以程序代码的形式存储于上述装置的存储器中，由上述装置的某一个处理元件调用并执行以上确定模块的功能。其它模块的实现与之类似。此外这些模块全部或部分可以集成在一起，也可以独立实现。这里所述的处理元件可以是一种集成电路，具有信号的处理能力。在实现过程中，上述方法的各步骤或以上各个模块可以通过处理器元件中的硬件的集成逻辑电路或者软件形式的指令完成。例如，以上这些模块可以是被配置成实施以上方法的一个或多个集成电路，例如：一个或多个特定集成电路ApplicationSpecificIntegratedCircuit，ASIC，或，一个或多个微处理器digitalsignalprocessor，DSP，或，一个或者多个现场可编程门阵列FieldProgrammableGateArray，FPGA等。再如，当以上某个模块通过处理元件调度程序代码的形式实现时，该处理元件可以是通用处理器，例如中央处理器CentralProcessingUnit，CPU或其它可以调用程序代码的处理器。再如，这些模块可以集成在一起，以片上系统system-on-a-chip，SOC的形式实现。图20为本申请一实施例提供的终端结构示意图，如图20所示，该终端可以包括：存储器201和处理器202。存储器201可以是独立的物理单元，与处理器202可以通过总线连接。存储器201、处理器202也可以集成在一起，通过硬件实现等。存储器201用于存储实现以上方法实施例，处理器202调用该程序，执行以上终端执行的方法实施例的操作。图21为本申请一实施例提供的CU-CP结构示意图，如图21所示，该CU-CP可以包括：存储器211和处理器212。存储器211可以是独立的物理单元，与处理器2102可以通过总线连接。存储器211、处理器212也可以集成在一起，通过硬件实现等。存储器211用于存储实现以上方法实施例，处理器212调用该程序，执行以上CU-CP执行的方法实施例的操作。图22为本申请一实施例提供的CU-UP结构示意图，如图22所示，该CU-UP可以包括：存储器221和处理器222。存储器221可以是独立的物理单元，与处理器222可以通过总线连接。存储器201、处理器222也可以集成在一起，通过硬件实现等。存储器221用于存储实现以上方法实施例，处理器222调用该程序，执行以上CU-UP执行的方法实施例的操作。可选地，当上述实施例的安全协商方法中的部分或全部通过软件实现时，安全协商装置也可以只包括处理器。用于存储程序的存储器位于上述装置之外，处理器通过电路电线与存储器连接，用于读取并执行存储器中存储的程序。处理器可以是中央处理器centralprocessingunit，CPU，网络处理器networkprocessor，NP或者CPU和NP的组合。处理器还可以进一步包括硬件芯片。上述硬件芯片可以是专用集成电路application-specificintegratedcircuit，ASIC，可编程逻辑器件programmablelogicdevice，PLD或其组合。上述PLD可以是复杂可编程逻辑器件complexprogrammablelogicdevice，CPLD，现场可编程逻辑门阵列field-programmablegatearray，FPGA，通用阵列逻辑genericarraylogic,GAL或其任意组合。存储器可以包括易失性存储器volatilememory，例如随机存取存储器random-accessmemory，RAM；存储器也可以包括非易失性存储器non-volatilememory，例如快闪存储器flashmemory，硬盘harddiskdrive，HDD或固态硬盘solid-statedrive，SSD；存储器还可以包括上述种类的存储器的组合。

权利要求：1.一种安全协商方法，其特征在于，包括：终端接收控制面集中式单元CU-CP发送的安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识；所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。2.根据权利要求1所述的方法，其特征在于，所述安全协商信息还包括：密钥生成参数；所述终端根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥；其中，所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：所述终端向会话管理功能实体SMF发送第一会话建立请求；所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，所述终端确定开启所述终端基于会话的用户面完整性保护。4.根据权利要求1或2所述的方法，其特征在于，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，所述终端确定开启所述终端的用户面完整性保护。5.根据权利要求4所述的方法，其特征在于，所述终端确定开启所述终端的完整性保护之后，所述方法还包括：所述终端向所述CU-CP发送完整性保护参数。6.根据权利要求1所述的方法，其特征在于，所述终端根据所述CU-UP的完整性保护指示标识确定是否开启终端的完整性保护，包括：当所述CU-UP的完整性保护指示标识指示不开启所述CU-UP的完整性保护时，所述终端确定不开启所述终端的完整性保护。7.根据权利要求6所述的方法，其特征在于，所述终端确定不开启所述终端的完整性保护之后，所述方法还包括：所述终端向所述CU-CP发送安全协商响应；其中，所述安全协商响应包括：用于指示开启所述终端完整性保护的指示标识和完整性保护参数。8.根据权利要求1-7任一所述的方法，其特征在于，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述方法还包括：所述终端根据所述CU-UP的加密保护指示标识确定是否开启所述终端的加密保护。9.根据权利要求4-7任一所述的方法，其特征在于，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述方法还包括：所述终端向所述SMF发送第一会话建立请求；所述终端根据所述CU-UP的加密保护指示标识确定是否开启所述终端基于会话的加密保护。10.一种安全协商方法，其特征在于，包括：控制面集中式单元CU-CP确定安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识；所述CU-CP向终端发送所述安全协商信息。11.根据权利要求10所述的方法，其特征在于，所述安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。12.根据权利要求10所述的方法，其特征在于，所述方法还包括：所述CU-CP向终端发送空口信息，所述空口信息包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。13.根据权利要求11或12所述的方法，其特征在于，所述方法还包括：所述CU-CP根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。14.根据权利要求13所述的方法，其特征在于，所述CU-CP根据所述密钥生成参数生成CU-UP的完整性保护密钥之后，还包括：所述CU-CP向所述CU-UP发送所述CU-UP的完整性保护密钥。15.根据权利要求11或12所述的方法，其特征在于，所述安全协商信息还包括所述CU-UP的加密保护指示标识。16.根据权利要求15所述的方法，其特征在于，所述方法还包括：所述CU-CP根据所述密钥生成参数生成CU-UP的加密保护密钥。17.根据权利要求16所述的方法，其特征在于，所述方法还包括：所述CU-CP向所述CU-UP发送所述CU-UP的用户面加密保护密钥。18.根据权利要求10所述的方法，其特征在于，所述方法还包括：所述CU-CP生成基础密钥；所述CU-CP将所述基础密钥发送给所述CU-UP。19.根据权利要求10-18任一项所述的方法，其特征在于，所述方法还包括：所述CU-CP接收会话管理功能实体SMF在收到终端发送的第一会话建立请求后，发送的第二会话建立请求；所述CU-CP向所述SMF发送会话建立响应。20.根据权利要求10-19任一项所述的方法，其特征在于，所述安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。21.一种安全协商方法，其特征在于，包括：用户面集中式单元CU-UP确定安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识；所述CU-UP向终端发送所述安全协商信息。22.根据权利要求21所述的方法，其特征在于，所述安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。23.根据权利要求21所述的方法，其特征在于，所述安全协商信息还包括所述CU-UP的加密保护指示标识。24.一种安全协商装置，其特征在于，包括：接收模块，用于接收控制面集中式单元CU-CP发送的安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识；确定模块，用于根据所述CU-UP的完整性保护指示标识确定是否开启终端的用户面完整性保护。25.根据权利要求24所述的装置，其特征在于，所述安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。26.根据权利要求24或25所述的装置，其特征在于，还包括：发送模块，用于向会话管理功能实体SMF发送第一会话建立请求；所述确定模块，具体用于当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，确定开启所述终端基于会话的用户面完整性保护。27.根据权利要求24或25所述的装置，其特征在于，所述确定模块，具体用于当所述CU-UP的完整性保护指示标识指示所述CU-UP的完整性保护开启时，确定开启所述终端的用户面完整性保护。28.根据权利要求27所述的装置，其特征在于，还包括：发送模块，用于向所述CU-CP发送完整性保护参数。29.根据权利要求24所述的装置，其特征在于，所述确定模块，具体用于当所述CU-UP的完整性保护指示标识指示不开启所述CU-UP的完整性保护时，确定不开启所述终端的完整性保护。30.根据权利要求29所述的装置，其特征在于，还包括：发送模块，用于向所述CU-CP发送安全协商响应；其中，所述安全协商响应包括：用于指示开启所述终端完整性保护的指示标识和完整性保护参数。31.根据权利要求24-30任一项所述的装置，其特征在于，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述确定模块，还用于根据所述CU-UP的加密保护指示标识确定是否开启所述终端的加密保护。32.根据权利要求24-31任一项所述的装置，其特征在于，所述安全协商信息还包括所述CU-UP的加密保护指示标识；所述装置还包括：发送模块，用于向所述SMF发送第一会话建立请求；所述确定模块，具体用于向所述SMF发送第一会话建立请求之后，根据所述CU-UP的加密保护指示标识确定是否开启所述终端基于会话的加密保护。33.一种安全协商装置，其特征在于，包括：确定模块，用于确定安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识；发送模块，用于向终端发送所述安全协商信息。34.根据权利要求33所述的装置，其特征在于，所述安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。35.根据权利要求34所述的装置，其特征在于，所述发送模块，还用于向终端发送空口信息，所述空口信息包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。36.根据权利要求34或35所述的装置，其特征在于，还包括：生成模块，用于根据所述密钥生成参数生成CU-UP的用户面完整性保护密钥。37.根据权利要求36所述的装置，其特征在于，所述发送模块，还用于向所述CU-UP发送所述CU-UP的完整性保护密钥。38.根据权利要求34或35所述的装置，其特征在于，所述安全协商信息还包括所述CU-UP的加密保护指示标识。39.根据权利要求38所述的装置，其特征在于，还包括：生成模块，用于根据所述密钥生成参数生成CU-UP的加密保护密钥。40.根据权利要求39所述的装置，其特征在于，所述发送模块，还用于向所述CU-UP发送所述CU-UP的用户面加密保护密钥。41.根据权利要求34所述的装置，其特征在于，还包括：生成模块，用于生成基础密钥；所述发送模块，还用于将所述基础密钥发送给所述CU-UP。42.根据权利要求34-41任一项所述的装置，其特征在于，还包括：接收模块，用于接收会话管理功能实体SMF在收到终端发送的第一会话建立请求后，发送的第二会话建立请求；所述发送模块，还用于向所述SMF发送会话建立响应。43.根据权利要求34-42任一项所述的装置，其特征在于，所述安全协商信息还包括下述一项或多项：CU-CP的完整性保护算法标识、CU-CP的加密保护算法标识、CU-UP的完整性保护算法标识、CU-UP的加密保护算法标识、消息完整性校验码。44.一种安全协商装置，其特征在于，包括：确定模块，用于确定安全协商信息，所述安全协商信息包括：CU-UP的完整性保护指示标识；发送模块，用于向终端发送所述安全协商信息。45.根据权利要求44所述的装置，其特征在于，所述安全协商信息还包括：密钥生成参数；所述密钥生成参数包括下述一项或多项：实例标识、CU-UP标识、DU标识、数据承载标识、承载标识、流标识、会话标识、切片标识、介质访问控制MAC层标识、无线资源控制RRC信令计数器、频点标识、小区标识、新鲜参数、CU-UP的用户面完整性保护算法类型标识长度、CU-CP的用户面完整性保护算法类型标识长度、CU-UP的用户面加密保护类型标识长度、CU-CP的用户面加密保护类型标识长度。46.根据权利要求45所述的装置，其特征在于，所述安全协商信息还包括所述CU-UP的加密保护指示标识。

百度查询： 华为技术有限公司 安全协商方法及装置

免责声明
1、本报告根据公开、合法渠道获得相关数据和信息，力求客观、公正，但并不保证数据的最终完整性和准确性。
2、报告中的分析和结论仅反映本公司于发布本报告当日的职业理解，仅供参考使用，不能作为本公司承担任何法律责任的依据或者凭证。

阅读全文 双屏查看 官方信息 专利公告 收藏专利 下载PDF 下载WORD